Hoe u onder de CRA meldt bij CSIRT Italia

1. Wie uw melding ontvangt: ACN en CSIRT Italia

De Agenzia per la Cybersicurezza Nazionale (ACN) is de nationale autoriteit, en CSIRT Italia is het team dat daarbinnen werkt. De ACN zetelt in Rome en coördineert de nationale cyberbeveiligingsstrategie, naast het huisvesten van het responsteam.

De keten is precies deze: de autoriteit als instelling, CSIRT Italia als operationeel team dat uw melding leest en dat samen met ENISA de in art. 14 bedoelde ontvanger vormt.

De ACN ontstond in 2021 als nationale cyberbeveiligingsautoriteit en bundelt bevoegdheden die eerder verspreid lagen. CSIRT Italia is haar operationele team: het ontvangt meldingen, correleert ze en verspreidt waarschuwingen naar het bedrijfsleven. Voor een fabrikant is het één aanspreekpunt, waar dat elders over meerdere loketten verdeeld is.

2. Het nationale kanaal in de praktijk

De taal van de melding is Italiaans. De ACN publiceert waarschuwingen en veiligheidsbulletins in het Italiaans en houdt een meldkanaal aan voor exploitanten in gereguleerde sectoren — dezelfde administratieve deur waarlangs de aanwijzing van uw bedrijfscontactpunt loopt.

Wie al meldt als NIS-entiteit kent die route. De CRA vervangt haar niet en gaat er niet in op: het zijn twee afzonderlijke verplichtingen met verschillende aanleidingen, die uit dezelfde gebeurtenis kunnen ontstaan en allebei moeten worden nagekomen.

CSIRT Italia · officiële website

3. Het landschap eromheen

Italië heeft NIS2 omgezet met wetsdecreet 138/2024 en de rol van bevoegde nationale autoriteit bij de ACN gelegd. Het resultaat is een ecosysteem waarin CSIRT Italia het operationele contactpunt is voor de meeste cybermeldplichten.

Voor de CRA is dat geen automatisch antwoord: de aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt volgt de nationale uitvoering van de verordening. Controleer de geldende aanwijzing voordat u indient en leid haar niet af uit NIS2.

Nog één praktisch punt: de ACN beheert ook de nationale cyberbeveiligingscertificering en de afstemming met ENISA over Europese schema's. Valt uw product in de kritieke klasse en is certificering nodig, dan is de institutionele gesprekspartner dezelfde als die waaraan u meldt. Dat scheelt deuren om aan te kloppen.

4. Hoe indienen werkt, kort

Indienen is geen e-mail aan de autoriteit: het loopt via het centraal meldingsplatform van art. 16, en toegang vraagt vooraf gevalideerde EU Login-inloggegevens.

De keten van termijnen — 24 uur, 72 uur, eindverslag — is in de hele Unie dezelfde en staat volledig op de pagina over art. 14. Bij de andere trigger van het artikel verandert de slottermijn: die staat op de pagina over het ernstige incident.

5. Wat vóór een incident voor te bereiden

Vijf dingen, rustig geregeld, maken het verschil tussen een tijdig ingediende melding en een te late. Het eerste is het contactpunt bij CSIRT Italia, aangewezen en gevalideerd, met een benoemde vervanger: op de dag van het geval zoekt u niet wie de inloggegevens heeft.

In Italië loont het vroeg na te gaan of uw onderneming al bij de ACN geregistreerd staat voor andere verplichtingen: contactpunt en inloggegevens kunnen deels samenvallen, en dat rustig uitzoeken is meer waard dan het op de dag van de zaak ontdekken.

En een noot over tijd: Italië zit in de zomer op CEST en in de winter op CET, en de vierentwintig uur van art. 14 tellen echte uren, geen kantooruren. Valt het moment van kennisname op de vrijdagavond van een lang weekend, dan valt de termijn in dat lange weekend.

Deze gids geeft onze lezing van de verordeningstekst en de openbare procedures weer; hij vormt geen juridisch advies, en de operationele details van het platform kunnen veranderen.